Como configurar uma rede gerida para hubs Microsoft Foundry (clássico)

• Uma subscrição do Azure. Se não tiver uma subscrição do Azure, crie uma conta gratuita antes de começar.

• Registe o fornecedor de recursos Microsoft.Network para a tua subscrição Azure. O hub utiliza este fornecedor para criar endpoints privados para a rede virtual gerida.

  Para informações sobre o registo de fornecedores de recursos, consulte Resolver erros para registo de fornecedores de recursos.

• Utilize uma identidade Azure com as seguintes ações de controlo de acesso baseado em funções (Azure RBAC) para criar endpoints privados para a rede virtual gerida.

  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft.MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  O Azure AI Enterprise Network Connection Approver função incorporada inclui estas permissões. Atribui esta função à identidade gerida do hub para aprovar ligações privadas aos endpoints.

• Uma subscrição do Azure. Se não tiver uma subscrição do Azure, crie uma conta gratuita antes de começar.

• O fornecedor de recursos Microsoft.Network deve estar registado para a sua subscrição do Azure. O hub utiliza este fornecedor de recursos ao criar endpoints privados para a rede virtual gerida.

  Para informações sobre o registo de fornecedores de recursos, consulte Resolver erros para registo de fornecedores de recursos.

• Utilize uma identidade do Azure com as seguintes ações de Azure Role-Based Access Control (Azure RBAC) para criar endpoints privados para a rede virtual gerida:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  O Azure AI Enterprise Network Connection Approver função incorporada inclui estas permissões. Atribui esta função à identidade gerida do hub para aprovar ligações privadas aos endpoints.

• Instala o CLI do Azure e a extensão ml para o CLI do Azure. Para mais informações, consulte Instalar, configurar e usar a CLI (v2).

• Um shell compatível com Bash para executar os exemplos de CLI mencionados neste artigo. Por exemplo, use um sistema Linux ou Subsistema Windows para Linux.

• Os CLI do Azure exemplos neste artigo usam ws para o nome do hub e rg para o nome do grupo de recursos. Muda esses valores conforme necessário quando executares os comandos na tua subscrição do Azure.

• Uma subscrição do Azure. Se não tiver uma subscrição do Azure, crie uma conta gratuita antes de começar. Experimenta a versão gratuita ou paga.

• O fornecedor de recursos Microsoft.Network deve estar registado para a sua subscrição do Azure. O hub utiliza este fornecedor de recursos ao criar endpoints privados para a rede virtual gerida.

  Para informações sobre o registo de fornecedores de recursos, consulte Resolver erros para registo de fornecedores de recursos.

• A identidade Azure que utiliza ao implementar uma rede gerida requer as seguintes ações de controlo de acesso baseado em funções do Azure (Azure RBAC) para criar endpoints privados:

  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/read
  • Microsoft. MachineLearningServices/workspaces/privateEndpointConnections/write

  Dica

  O Azure AI Enterprise Network Connection Approver função incorporada inclui estas permissões. Atribui esta função à identidade gerida do hub para aprovar ligações privadas aos endpoints.

• SDK Azure Machine Learning Python v2 Para mais informações sobre o SDK, veja Install the Python SDK v2 para Azure Machine Learning.

• Os exemplos neste artigo assumem que o seu código começa com o seguinte código Python. Importa as classes necessárias para criar um hub com uma rede virtual gerida, define variáveis para a tua subscrição Azure e grupo de recursos, e cria o ml_client. No exemplo seguinte, substitua o texto <SUBSCRIPTION_ID> provisório e <RESOURCE_GROUP> pelos seus próprios valores:

  from azure.ai.ml import MLClient
  from azure.ai.ml.entities import (
      Hub,
      ManagedNetwork,
      IsolationMode,
      ServiceTagDestination,
      PrivateEndpointDestination,
      FqdnDestination
  )
  from azure.identity import DefaultAzureCredential
  
  # Replace with the values for your Azure subscription and resource group.
  subscription_id = "<SUBSCRIPTION_ID>"
  resource_group = "<RESOURCE_GROUP>"
  
  # get a handle to the subscription
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group)
  

• Crie um novo hub:

  1. Inicie sessão no portal Azure, e selecione Foundry no menu Criar um recurso.

  2. Selecione + Nova Azure AI.

  3. Introduza a informação necessária no separador Básicos .

  4. Na aba Rede, selecione Privado com Saída para a Internet.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo utilizador no separador Rede . Na barra lateral de regras de saída , introduza a seguinte informação:

     • Nome da regra: Um nome para a regra. O nome deve ser único para este centro.
     • Tipo de destino: O Endpoint Privado é a única opção quando o isolamento da rede é Privado com Internet Outbound. Uma rede virtual gerida por hub não suporta a criação de endpoints privados para todos os tipos de recursos do Azure. Para uma lista de recursos suportados, consulte a secção de endpoints privados .
     • Subscription: A subscrição que contém o recurso Azure para o qual pretende adicionar um endpoint privado.
     • Resource group: O grupo de recursos que contém o recurso Azure para o qual pretende adicionar um endpoint privado.
     • Tipo de recurso: O tipo do recurso Azure.
     • Nome do recurso: O nome do recurso Azure.
     • Sub Resource: O subrecurso do tipo de recurso Azure.

     Selecione Guardar. Para adicionar mais regras, selecione Adicionar regras de saída definidas pelo utilizador.

  6. Continue a criar o hub.

• Atualize um hub existente:

  1. Inicie sessão no portal Azure, e selecione o hub para ativar o isolamento da rede virtual gerida.

  2. Selecione Rede>Privada com Internet de Saída.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo utilizador no separador Rede . Na barra lateral das regras de saída , forneça a mesma informação usada ao criar um hub na secção 'Criar um novo hub'.

     • Para eliminar uma regra de saída, selecione eliminar para a regra.

  3. Selecione Guardar no topo da página para aplicar as alterações à rede virtual gerida.

Para configurar uma rede virtual gerida que permita a saída pela internet, utilize o --managed-network allow_internet_outbound parâmetro ou um ficheiro de configuração YAML com as seguintes entradas:

managed_network:
  isolation_mode: allow_internet_outbound

Defina regras de saída para outros serviços Azure dos quais o hub depende. Estas regras definem endpoints privados que permitem a um recurso Azure comunicar de forma segura com a rede virtual gerida. A regra seguinte mostra como adicionar um endpoint privado a uma conta do Armazenamento de Blobs do Azure. No exemplo seguinte, substitua o texto <SUBSCRIPTION_ID>provisório , <RESOURCE_GROUP>, e <STORAGE_ACCOUNT_NAME> pelos seus próprios valores.

managed_network:
  isolation_mode: allow_internet_outbound
  outbound_rules:
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Configure uma rede virtual gerida usando os az ml workspace create comandos ou az ml workspace update :

• Crie um novo hub:

  O exemplo seguinte cria um novo hub. O --managed-network allow_internet_outbound parâmetro configura uma rede virtual gerida para o hub:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para criar um hub usando um ficheiro YAML, use o --file parâmetro e especifique o ficheiro YAML que contém as definições de configuração:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

  O seguinte exemplo de YAML define um hub com uma rede virtual gerida:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_internet_outbound
  

• Atualize um hub existente:

  Aviso

  Antes de atualizar um espaço de trabalho existente para usar uma rede virtual gerida, deve eliminar todos os recursos computacionais do espaço de trabalho. Isto inclui instância de computação, cluster de computação e endpoints online geridos.

  O exemplo seguinte atualiza um hub existente. O --managed-network allow_internet_outbound parâmetro configura uma rede virtual gerida para o hub:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_internet_outbound
  

  Para atualizar um hub existente usando um ficheiro YAML, use o --file parâmetro e especifique o ficheiro YAML que contém as definições de configuração:

  az ml workspace update --file hub.yaml --name ws --kind hub --resource-group MyGroup
  

  O exemplo seguinte de YAML define uma rede virtual gerida para o hub. Também mostra como adicionar uma ligação de ponto final privado a um recurso que o hub utiliza. Neste exemplo, adiciona um endpoint privado para uma conta do Armazenamento de Blobs do Azure. No exemplo seguinte, substitua o texto <SUBSCRIPTION_ID>provisório , <RESOURCE_GROUP>, e <STORAGE_ACCOUNT_NAME> pelos seus próprios valores:

  name: myhub
  managed_network:
    isolation_mode: allow_internet_outbound
    outbound_rules:
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referências

• az ml workspace create
• Atualização do Workspace AZ ML

Para configurar uma rede virtual gerida que permita a saída para a internet, utilize a classe ManagedNetwork com IsolationMode.ALLOW_INTERNET_OUTBOUND. Depois usa o ManagedNetwork objeto para criar um novo hub ou atualizar um existente. Para definir regras outbound para Azure serviços em que o hub depende, use a classe PrivateEndpointDestination para definir um novo endpoint privado para o serviço.

• Crie um novo hub:

  O exemplo seguinte cria um novo hub chamado myhub, com uma regra de saída chamada myrule que adiciona um endpoint privado para uma conta Armazenamento de Blobs do Azure. No exemplo seguinte, substitua o texto <SUBSCRIPTION_ID>provisório , <RESOURCE_GROUP>, e <STORAGE_ACCOUNT_NAME> pelos seus próprios valores:

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Example private endpoint to Azure Blob Storage
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referências

  • Rede Gerida
  • IsolationMode
  • Hub
  • PrivateEndpointDestination

• Atualize um hub existente:

  O exemplo seguinte demonstra como criar uma rede virtual gerida para um hub existente chamado myhub:

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get(name="myhub")
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_INTERNET_OUTBOUND)
  
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  
  # Add the outbound rule
  ws.managed_network.outbound_rules = [PrivateEndpointDestination(
      name=rule_name, 
      service_resource_id=service_resource_id, 
      subresource_target=subresource_target, 
      spark_enabled=spark_enabled)]
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referências

  • Rede Gerida
  • IsolationMode
  • PrivateEndpointDestination
  • MLClient

• Crie um novo hub:

  1. Inicie sessão no portal Azure, e escolha Foundry no menu Criar um recurso.

  2. Selecione + Novo Azure AI.

  3. Forneça a informação necessária na aba Básicos.

  4. Na aba Rede, selecione Privado com Saída Aprovada.

  5. Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo utilizador no separador Rede . Na barra lateral de regras de saída , forneça a seguinte informação:

     • Nome da regra: Um nome para a regra. O nome deve ser único para este centro.
     • Tipo de destino: Ponto Terminal Privado, Etiqueta de Serviço ou FQDN. Service Tag e FQDN só estão disponíveis quando o isolamento da rede é privado com saída aprovada.

     Se o tipo de destino for Private Endpoint, introduza a seguinte informação:

     • Subscription: A subscrição que contém o recurso Azure para o qual pretende adicionar um endpoint privado.
     • Resource group: O grupo de recursos que contém o recurso Azure para o qual pretende adicionar um endpoint privado.
     • Tipo de recurso: O tipo do recurso Azure.
     • Nome do recurso: O nome do recurso Azure.
  • Sub Resource: O subrecurso do tipo de recurso Azure.

  Dica

  O VNet gerido do hub não suporta endpoints privados para todos os tipos de recursos do Azure. Para uma lista de recursos suportados, consulte a secção de endpoints privados .

  Se o tipo de destino for Etiqueta de Serviço, introduza a seguinte informação:

  • Etiqueta de serviço: A etiqueta de serviço para adicionar às regras de saída aprovadas.
  • Protocolo: O protocolo para permitir a etiqueta de serviço.
  • Intervalos de porta: Os intervalos de porta a permitir para a etiqueta de serviço.

  Se o tipo de destino for FQDN, introduza a seguinte informação:

  • Destino FQDN: O nome de domínio totalmente qualificado para adicionar às regras de saída aprovadas.

    Selecione Guardar para guardar a regra. Para adicionar mais regras, selecione novamente Adicionar regras de saída definidas pelo utilizador .

  1. Continua a criar o hub como de costume.

• Atualize um hub existente:

  1. Inicia sessão no portal Azure e seleciona o hub para o qual queres ativar o isolamento de rede virtual gerida.

  2. Selecione Configuração de Rede>Privado com Saída Aprovada.

     • Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo utilizador no separador Rede . Na barra lateral de regras de saída , introduza a mesma informação que ao criar um hub na secção anterior 'Criar um novo hub'.

     • Para eliminar uma regra de saída, selecione eliminar para a regra.

  3. Selecione Guardar no topo da página para guardar as alterações na rede virtual gerida.

Para configurar uma rede virtual gerida que permita apenas comunicação de saída aprovada, utilize o --managed-network allow_only_approved_outbound parâmetro ou um ficheiro de configuração YAML que contenha as seguintes entradas:

managed_network:
  isolation_mode: allow_only_approved_outbound

Também pode definir regras de saída para comunicações de saída aprovadas. Crie uma regra de saída do tipo service_tag, fqdn, ou private_endpoint. O exemplo seguinte adiciona um endpoint privado a um recurso Azure Blob, uma etiqueta de serviço para Azure Data Factory e um FQDN para pypi.org. No exemplo seguinte, substitua o texto <SUBSCRIPTION_ID>provisório , <RESOURCE_GROUP>, e <STORAGE_ACCOUNT_NAME> pelos seus valores.

managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - name: added-servicetagrule
    destination:
      port_ranges: 80, 8080
      protocol: TCP
      service_tag: DataFactory
    type: service_tag
  - name: add-fqdnrule
    destination: 'pypi.org'
    type: fqdn
  - name: added-perule
    destination:
      service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
      spark_enabled: true
      subresource_target: blob
    type: private_endpoint

Pode configurar uma rede virtual gerida usando os az ml workspace create comandos ou:az ml workspace update

• Crie um novo hub:

  O exemplo seguinte utiliza o --managed-network allow_only_approved_outbound parâmetro para configurar a rede virtual gerida:

  az ml workspace create --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O ficheiro YAML seguinte define um hub com uma rede virtual gerida:

  name: myhub
  location: EastUS
  managed_network:
    isolation_mode: allow_only_approved_outbound
  

  Para criar um hub usando o ficheiro YAML, use o --file parâmetro:

  az ml workspace create --file hub.yaml --resource-group rg --name ws --kind hub
  

• Atualize um hub existente

  Aviso

  Antes de atualizar um espaço de trabalho existente para usar uma rede virtual gerida, deve eliminar todos os recursos computacionais do espaço de trabalho. Isto inclui instância de computação, cluster de computação e endpoints online geridos.

  O exemplo seguinte utiliza o --managed-network allow_only_approved_outbound parâmetro para configurar a rede virtual gerida para um hub existente:

  az ml workspace update --name ws --resource-group rg --kind hub --managed-network allow_only_approved_outbound
  

  O ficheiro YAML seguinte define uma rede virtual gerida para o hub e mostra como adicionar regras de saída aprovadas. Neste exemplo, são adicionadas regras de saída para uma etiqueta de serviço, uma FQDN e um endpoint privado:

  name: myhub_dep
  managed_network:
    isolation_mode: allow_only_approved_outbound
    outbound_rules:
    - name: added-servicetagrule
      destination:
        port_ranges: 80, 8080
        protocol: TCP
        service_tag: DataFactory
      type: service_tag
    - name: add-fqdnrule
      destination: 'pypi.org'
      type: fqdn
    - name: added-perule
      destination:
        service_resource_id: /subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>
        spark_enabled: true
        subresource_target: blob
      type: private_endpoint
  

Referências

• az ml workspace create
• Atualização do Workspace AZ ML

Para configurar uma rede virtual gerida que permita apenas comunicação de saída aprovada, use a ManagedNetwork classe para definir uma rede com IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND. Use o ManagedNetwork objeto para criar um novo hub ou atualizar um existente. Para definir regras de saída, use as seguintes classes:

• Crie um novo hub:

  O exemplo seguinte cria um novo hub chamado myhub, com várias regras de saída:

  • myrule - Adiciona um endpoint privado para uma Azure Blob store.
  • datafactory - Adiciona uma regra de etiqueta de serviço para comunicar com Azure Data Factory.

  Importante

  • Adicione uma regra de saída para uma tag de serviço ou FQDN apenas quando configurar a rede virtual gerida (VNet) para IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.
  • Se adicionares regras de saída, a Microsoft não pode garantir proteção contra a exfiltração de dados.

  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, Hub, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Basic managed VNet configuration
  network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Hub configuration
  ws = Hub(
      name="myhub",
      location="eastus",
      managed_network=network
  )
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Create the hub
  ws = ml_client.workspaces.begin_create(ws).result()
  

  Referências

  • Rede Gerida
  • IsolationMode
  • Hub
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination

• Atualize um hub existente:

  O exemplo seguinte mostra como configurar uma rede virtual gerida para um hub existente chamado myhub. Também adiciona várias regras de saída:

  • myrule - Adiciona um endpoint privado para uma Azure Blob store.
  • datafactory - Adiciona uma regra de etiqueta de serviço para comunicar com Azure Data Factory.

  Dica

  Pode apenas adicionar uma regra de saída para uma tag de serviço ou FQDN quando a VNet gerida for configurada para usar IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND.

  from azure.ai.ml import MLClient
  from azure.identity import DefaultAzureCredential
  from azure.ai.ml.entities import ManagedNetwork, IsolationMode, PrivateEndpointDestination, ServiceTagDestination, FqdnDestination
  
  # Get the existing hub
  ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, "myhub")
  ws = ml_client.workspaces.get()
  
  # Basic managed VNet configuration
  ws.managed_network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND)
  
  # Append some rules
  ws.managed_network.outbound_rules = []
  # Example private endpoint outbound to a blob
  rule_name = "myrule"
  service_resource_id = "/subscriptions/<SUBSCRIPTION_ID>/resourceGroups/<RESOURCE_GROUP>/providers/Microsoft.Storage/storageAccounts/<STORAGE_ACCOUNT_NAME>"
  subresource_target = "blob"
  spark_enabled = True
  ws.managed_network.outbound_rules.append(
      PrivateEndpointDestination(
          name=rule_name, 
          service_resource_id=service_resource_id, 
          subresource_target=subresource_target, 
          spark_enabled=spark_enabled
      )
  )
  
  # Example service tag rule
  rule_name = "datafactory"
  service_tag = "DataFactory"
  protocol = "TCP"
  port_ranges = "80, 8080-8089"
  ws.managed_network.outbound_rules.append(
      ServiceTagDestination(
          name=rule_name, 
          service_tag=service_tag, 
          protocol=protocol, 
          port_ranges=port_ranges
      )
  )
  
  # Example FQDN rule
  ws.managed_network.outbound_rules.append(
      FqdnDestination(
          name="fqdnrule", 
          destination="pypi.org"
      )
  )
  
  # Update the hub
  ml_client.workspaces.begin_update(ws)
  

  Referências

  • Rede Gerida
  • IsolationMode
  • PrivateEndpointDestination
  • ServiceTagDestination
  • FqdnDestination
  • MLClient

Durante a criação do espaço de trabalho, selecione Provisionar rede gerida proativamente na criação para configurar a rede gerida. A faturação começa para recursos de rede, como endpoints privados, depois de a rede virtual estar configurada. Esta opção está disponível apenas durante a criação do espaço de trabalho.

O exemplo seguinte mostra como provisionar uma rede virtual gerida durante a criação do hub.

az ml workspace create -n my_ai_hub_name -g my_resource_group --kind hub --managed-network AllowInternetOutbound --provision-network-now true

O exemplo seguinte mostra como provisionar uma rede virtual gerida.

az ml workspace provision-network -g my_resource_group -n my_ai_hub_name

Para verificar se o provisionamento está completo, execute o seguinte comando:

az ml workspace show -n my_ai_hub_name -g my_resource_group --query managed_network

Referências

• az ml workspace create
• AZ ML Workspace Provision-Network
• AZ ML Workspace Show

Use o SDK para provisionar uma rede virtual gerida e depois verifique o seu estado.

from azure.identity import DefaultAzureCredential
from azure.ai.ml import MLClient

subscription_id = "00000000-0000-0000-0000-000000000000"
resource_group = "my_resource_group"
workspace_name = "my_ai_hub_name"

ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=workspace_name)

# Start provisioning the managed network for the workspace.
provision_result = ml_client.workspaces.begin_provision_network(workspace_name=workspace_name).result()

# Check the managed network status.
ws = ml_client.workspaces.get(name=workspace_name)
print(ws.managed_network.status)

Referências

• MLClient
• begin_provision_network

1. Inicia sessão no portal Azure e seleciona o hub para o qual queres ativar o isolamento de rede virtual gerida.
2. Selecione Redes. A secção de acesso Outbound da Foundry permite-te gerir as regras de outbound.

• Para adicionar uma regra de saída, selecione Adicionar regras de saída definidas pelo utilizador no separador Networking. Na barra lateral Azure regras de saída da IA, introduza os valores necessários.

• Para ativar ou desativar uma regra, use a opção de alternância na coluna Ativa .

• Para eliminar uma regra de saída, selecione eliminar para a regra.

Nos comandos seguintes, substitua o texto <workspace-name>provisório , <resource-group>, e <rule-name> pelos seus valores. Para listar as regras de saída de rede virtual gerida para um hub, execute:

az ml workspace outbound-rule list --workspace-name <workspace-name> --resource-group <resource-group>

Para ver os detalhes de uma regra de saída de rede virtual gerida, execute:

az ml workspace outbound-rule show --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Para remover uma regra de saída da rede virtual gerida, execute:

az ml workspace outbound-rule remove --rule <rule-name> --workspace-name <workspace-name> --resource-group <resource-group>

Referências

• AZ ML Workspace Outbound-Rule List
• az ml workspace outbound-rule show - mostra a regra de saída do espaço de trabalho.
• az ml workspace outbound-rule remove

O exemplo seguinte mostra como gerir regras de saída para um hub chamado myhub. No exemplo, substitui o texto <some-rule-name> provisório pelo nome da tua regra:

from azure.ai.ml import MLClient
from azure.identity import DefaultAzureCredential

# Connect to the hub
ws_name = "myhub"
ml_client = MLClient(DefaultAzureCredential(), subscription_id, resource_group, workspace_name=ws_name)

# Specify the rule name
rule_name = "<some-rule-name>"

# Get a rule by name
rule = ml_client._workspace_outbound_rules.get(resource_group, ws_name, rule_name)

# List rules for a hub
rule_list = ml_client._workspace_outbound_rules.list(resource_group, ws_name)

# Delete a rule from a hub
ml_client._workspace_outbound_rules.begin_remove(resource_group, ws_name, rule_name).result()

Referências

• MLClient

Depois de selecionar o modo allow only approved outbound, aparece a opção de selecionar a versão Azure Firewall (SKU). Selecione Padrão ou Básico. Selecione Guardar.

Para definir a versão do firewall usando CLI do Azure, use um ficheiro YAML e especifique firewall_sku. O exemplo seguinte define o SKU do firewall para basic:

name: test-ws
resource_group: test-rg
location: eastus2 
managed_network:
  isolation_mode: allow_only_approved_outbound
  outbound_rules:
  - category: required
    destination: 'contoso.com'
    name: contosofqdn
    type: fqdn
  firewall_sku: basic
tags: {}

Para definir a versão do firewall usando o SDK Python, defina a propriedade firewall_sku do objeto ManagedNetwork. O exemplo seguinte define o SKU do firewall para basic:

from azure.ai.ml.entities import ManagedNetwork, IsolationMode

network = ManagedNetwork(isolation_mode=IsolationMode.ALLOW_ONLY_APPROVED_OUTBOUND,
                         firewall_sku='basic')

Referências

• Rede Gerida
• IsolationMode